Eine Paketbenachrichtigung, aus der hervorgeht, dass Sie Zollgebühren entrichten müssen. Ein Schreiben Ihrer Bank, in dem mitgeteilt wird, dass ungewöhnliche Zugriffe festgestellt wurden. Eine Nachricht Ihres „Hosting-Anbieters“, dass die Laufzeit Ihres Postfachs abläuft. Eine E-Mail Ihres Lieferanten, in der mitgeteilt wird, dass sich dessen Bankkontonummer geändert hat. Phishing ist auch heute noch die häufigste Methode, um Passwörter, Kreditkartendaten oder Geld zu ergaunern, und die Angriffe werden immer überzeugender: Die mit künstlicher Intelligenz verfassten E-Mails sind in fehlerfreiem Deutsch verfasst und persönlich auf den Empfänger zugeschnitten.

In diesem Leitfaden haben wir zusammengefasst, wie Sie Phishing-Nachrichten erkennen können, mit welchen technischen Einstellungen Sie Ihre Unternehmens-E-Mails und Ihre Domains schützen können, wie Sie Ihre Konten gegen gestohlene Passwörter absichern können und was zu tun ist, falls bereits ein Schaden eingetreten ist. Am Ende finden Sie zudem eine Checkliste.

Was ist Phishing?

Phishing ist eine Betrugsmasche, bei der sich der Angreifer als vertrauenswürdige Person (Bank, Kurierdienst, Behörde, Dienstleister, Kollege, Vorgesetzter) ausgibt, um Sie zu einer bestimmten Handlung zu verleiten: Klicken Sie auf einen Link, geben Sie Ihr Passwort ein, öffnen Sie einen Anhang oder überweisen Sie Geld. Dabei nutzt er nicht Softwarefehler aus, sondern menschliche Unachtsamkeit, Eile und Autoritätsgläubigkeit. Auch in unserem Wissensdatenbank-Artikel wird auf Phishing-E-Mails eingegangen.

Die häufigsten Formen

• Massen-Phishing per E-Mail: allgemeine E-Mails an große Adresslisten, die im Namen von Banken, Kurierdiensten, Online-Shops, Versorgungsunternehmen oder Behörden versendet werden.
• Gezieltes Phishing (Spear-Phishing): Eine E-Mail, die an eine bestimmte Person gerichtet ist und auf Informationen über das Unternehmen, die berufliche Position und die Kollegen basiert, wodurch sie wesentlich glaubwürdiger wirkt.
• Betrug durch Führungskräfte (CEO-Betrug, Whaling) und Business-E-Mail-Kompromittierung (BEC): Der Angreifer fordert im Namen einer Führungskraft oder eines Lieferanten eine dringende Überweisung an oder teilt eine „neue Bankkontonummer“ mit. Häufig schreibt er aus einem echten, zuvor gehackten Postfach und knüpft dabei an einen laufenden E-Mail-Austausch an.
• Phishing per SMS (Smishing): SMS mit einer „Schuld“ aufgrund einer Paketbenachrichtigung, einer Bankwarnung, eines Bußgelds oder einer Mautgebühr, versehen mit einem verkürzten Link.
• Telefonbetrug (Vishing): Der Anrufer gibt sich als Mitarbeiter der Sicherheitsabteilung einer Bank, als Polizist oder als IT-Spezialist aus. Mit Hilfe künstlicher Intelligenz können sie mithilfe einer klonierten Stimme sogar die Stimme eines bekannten Kollegen oder Vorgesetzten imitieren, und es sind bereits Fälle von gefälschten Videoanrufen aufgetreten.
• Phishing mit QR-Codes (Quishing): Der Link befindet sich in einem QR-Code, im Anhang einer E-Mail, auf einem Parkautomaten oder auf einem Flyer, sodass er vom Linkfilter des E-Mail-Systems nicht erkannt wird und die Adresse auf dem Smartphone schwerer zu überprüfen ist.
• Gefälschte Anmeldeseiten: exakte Kopien der Anmeldeseiten von Microsoft 365, Google, Ihrer Bank, „Ügyfélkapu+“ oder Ihres Hosting-Anbieters, die unter einer ähnlich klingenden Domain zu finden sind.

Was hat sich in den letzten Jahren verändert?

Die früheren Warnzeichen – Rechtschreibfehler und Spuren maschineller Übersetzungen – treten immer seltener auf: Mit Hilfe von Sprachmodellen kann jeder fehlerfreie, maßgeschneiderte Texte in jeder beliebigen Sprache verfassen. Darüber hinaus haben Angreifer gelernt, auch die einfacheren Formen der zweistufigen Authentifizierung zu umgehen: Eine „Adversary-in-the-Middle“-Phishing-Seite stiehlt neben dem Passwort auch den Zugangscode und die angemeldete Sitzung. Daher reicht der Ratschlag „Achten Sie auf die Rechtschreibung“ heute nicht mehr aus; der Schutz erfordert auch technische Maßnahmen.

Video: Phishing kisfilm (Nemzeti Kiberbiztonsági Intézet, auf Ungarisch)

Wie erkennen Sie eine Phishing-Nachricht?

Ein einzelnes Anzeichen ist für sich genommen kein Beweis, doch sollten mehrere dieser Anzeichen auf eine Nachricht zutreffen, seien Sie bitte äußerst vorsichtig.

1. Druck und Drohungen. „Wir sperren Ihr Konto innerhalb von 24 Stunden“, „letzte Mahnung“, „überweisen Sie den Betrag unverzüglich“. Der Zweck dieser Eile besteht darin, dass Sie nicht darüber nachdenken, was Sie tun.
2. Eine unerwartete Anfrage. Sie erwarten kein Paket, haben nichts bestellt und auch keine Passwortzurücksetzung beantragt, dennoch geht es in der E-Mail genau darum.
3. Die Absenderadresse stimmt nicht überein. Der angezeigte Name („OTP Bank“, „aWh-Support“) kann alles Mögliche sein. Überprüfen Sie die tatsächliche E-Mail-Adresse und die Domain: Eine kostenlose E-Mail-Adresse, eine seltsame Domain oder eine Abweichung von nur einem Buchstaben (z. B. „rn“ statt „m“, „1“ statt „l“, „.co“ statt „.com“) sind verräterische Anzeichen.
4. Der Link führt zu einer anderen Seite. Bevor Sie darauf klicken, bewegen Sie den Mauszeiger darüber (auf dem Smartphone: lange drücken) und überprüfen Sie die tatsächliche Adresse. Entscheidend ist die Domain, also der Teil, der direkt vor der Domainendung (.hu, .com) steht: bank.hu.ellenorzes-online.com gehört nicht zu bank.hu.
5. Es wird nach einem Passwort, einem Code oder Kartendaten gefragt. Eine Bank, ein Dienstleister oder eine Behörde fragt niemals per E-Mail, SMS oder Telefon nach einem Passwort, einem Einmalcode oder der vollständigen Kartennummer.
6. Unerwarteter Anhang. Eine Rechnung, ein Lieferschein oder ein „eingescanntes Dokument“ von einem Unbekannten oder einem Bekannten, jedoch in ungewöhnlichem Format. Besonders verdächtig sind Dateien mit den Endungen .zip, .iso, .img, .html, .htm, .exe, .js sowie Office-Dokumente, die Makros anfordern.
7. Geänderte Zahlungsdaten. Wenn ein Geschäftspartner per E-Mail mitteilt, dass Sie die Zahlung auf ein neues Konto überweisen sollen, handelt es sich dabei um einen der typischsten Schritte bei CEO-Betrug und BEC. Überprüfen Sie dies stets über eine Ihnen bereits bekannte Telefonnummer.
8. Ein ungewöhnlicher Tonfall von einem Bekannten. Ein Kollege spricht mich plötzlich mit „Sie“ an oder ist gerade besonders direkt; sonst bittet er nie um einen Geschenkgutschein, jetzt jedoch schon.

Das Schloss-Symbol ist kein Zeichen für Vertrauenswürdigkeit. Das in der Adressleiste des Browsers angezeigte Schloss-Symbol bedeutet lediglich, dass die Verbindung verschlüsselt ist; es bedeutet nicht, dass die Seite echt ist. Die überwiegende Mehrheit der Phishing-Seiten arbeitet heutzutage mit kostenlosen SSL-Zertifikaten. Überprüfen Sie stets die Domain.

Die sicherste Vorgehensweise: Klicken Sie nicht auf den Link in der E-Mail, sondern öffnen Sie die Website oder die App des Anbieters selbst (über ein Lesezeichen oder durch Eingabe der Adresse) und prüfen Sie dort, ob tatsächlich etwas zu erledigen ist. Legen Sie bei einem Telefonanruf auf und rufen Sie den Anbieter unter der offiziellen, Ihnen bekannten Nummer zurück.

Technischer Schutz für Ihre Domain: SPF, DKIM und DMARC

In der ursprünglichen Form der E-Mail wird der Absender nicht überprüft: Jeder kann eine E-Mail im Namen Ihrer Domain versenden. Drei in den DNS-Einstellungen festgelegte Regeln ermöglichen die Überprüfung, und mit diesen können Sie verhindern, dass E-Mails, die Ihr Unternehmen repräsentieren, an Ihre Kunden und Partner gelangen.

• SPF: Listet auf, welche Server E-Mails von der Domain versenden dürfen. Der empfangende Server überprüft anhand dieser Angaben, ob die E-Mail von einem autorisierten Server stammt. Ausführlich: Was ist ein SPF-Eintrag?
• DKIM: Ihr Mailserver versieht ausgehende E-Mails mit einer digitalen Signatur; der Empfänger überprüft anhand des im DNS veröffentlichten öffentlichen Schlüssels, ob die E-Mail tatsächlich von Ihrem Server gesendet wurde und unterwegs nicht verändert wurde. Ausführlich: Was ist ein DKIM-Eintrag?
• DMARC: Legt fest, wie der empfangende Server mit E-Mails verfahren soll, die im Namen Ihrer Domain eingehen, jedoch die SPF- und DKIM-Prüfung nicht bestehen: nichts unternehmen (p=none), in den Spam-Ordner verschieben (p=quarantine) oder ablehnen (p=reject). Sie können zudem Berichte darüber anfordern, wer E-Mails in Ihrem Namen versendet. Ausführlich: Was ist ein DMARC-Eintrag?

Die großen E-Mail-Anbieter verlangen dies bereits: Google und Yahoo ab Februar 2024, Microsoft (Outlook.com) seit Mai 2025 von Absendern, die viele E-Mails versenden, die Verwendung von SPF, DKIM und DMARC, und E-Mails ohne Authentifizierung landen immer häufiger im Spam-Ordner oder werden abgelehnt. Die Einrichtung schützt also nicht nur vor Phishing, sondern verbessert auch die Zustellbarkeit Ihrer eigenen E-Mails.

Die empfohlene Vorgehensweise: Richten Sie SPF und DKIM für alle Dienste ein, die im Namen Ihrer Domain E-Mails versenden (neben dem E-Mail-Server auch den Newsletter-Versand, den Online-Shop und das Rechnungsstellungsprogramm), aktivieren Sie DMARC mit der Einstellung „p=none“, beobachten Sie die Berichte einige Wochen lang und verschärfen Sie die Einstellungen anschließend auf „quarantine“ und schließlich auf „reject“. Die einzelnen Schritte haben wir in unserer DMARC-Einrichtungsanleitung beschrieben. Bei den aWh-cPanel-Hosting-Paketen lassen sich SPF und DKIM im Menüpunkt „E-Mail-Zustellbarkeit“ mit wenigen Klicks einrichten; sollten Sie dabei auf Schwierigkeiten stoßen, schreiben Sie uns bitte – wir helfen Ihnen gerne weiter.

SPF, DKIM und DMARC schützen die Authentifizierung Ihrer Domain. E-Mails, die von einer ähnlich klingenden Domain (beispielsweise awh-hu.com) versendet werden, werden nicht abgewehrt; daher sind sowohl die Wachsamkeit der Nutzer als auch das Filtern eingehender E-Mails erforderlich.

Filterung eingehender E-Mails

Der Spamfilter des E-Mail-Servers filtert den Großteil der massenhaft versendeten Phishing-E-Mails heraus, während der Virenscanner infizierte Anhänge erkennt. Alle Hosting-Pakete von aWh, die E-Mail-Funktionen umfassen, verfügen über einen Spamfilter. Mit einigen Einstellungen können Sie dessen Leistung weiter verbessern:

• Passen Sie die Empfindlichkeit Ihres Spamfilters an Ihre persönliche E-Mail-Korrespondenz an und überprüfen Sie von Zeit zu Zeit Ihren Spam-Ordner, damit Ihre echten E-Mails nicht verloren gehen.
• Erstellen Sie einen Filter, der E-Mails markiert, die von einem externen Absender stammen, aber den Anschein erwecken, von einem internen Kollegen zu stammen, oder Nachrichten, die verdächtige Anhänge enthalten.
• Bitte deaktivieren Sie nicht die Phishing-Warnungen Ihres E-Mail-Programms und Ihres Browsers.

In einem Artikel der Wissensdatenbank zum Thema „E-Mails, die im Spam-Ordner landen“ wird erläutert, wie die Spamfilterung funktioniert und warum auch legitime E-Mails in den Spam-Ordner gelangen können.

Kontoschutz: Falls das Passwort doch einmal bekannt wird

Früher oder später klickt jemand auf einen falschen Link. Das Ziel ist es, dass ein gestohlenes Passwort allein nicht ausreicht.

• Zwei-Faktor-Authentifizierung (2FA) überall: in Ihrem E-Mail-Postfach, im Verwaltungsbereich Ihres Webhostings (so können Sie sie im cPanel aktivieren), in Ihrem Kundenkonto, im WordPress-Adminbereich, bei Ihrer Bank und in den sozialen Medien.
• Möglichst mit einer gegen Phishing geschützten Methode: Der Passkey (Zugangsschlüssel) und der Hardware-Sicherheitsschlüssel (FIDO2) funktionieren nur auf der echten Domain, sodass sie auf einer gefälschten Seite nicht abgefangen werden können. Verwenden Sie diese Methode, sofern sie verfügbar ist. Falls nicht, ist eine Authentifizierungs-App (TOTP-Code) immer noch viel besser als gar nichts, und der SMS-Code ist zwar die schwächste Variante, aber immer noch besser als ein reines Passwort.
• Passwortmanager: Er generiert für jede Seite einzigartige, lange Passwörter und füllt diese automatisch nur auf der echten Domain aus. Wenn der Passwortmanager das Passwort auf einer Seite nicht vorschlägt, ist dies ein verdächtiges Anzeichen.
• Verwenden Sie ein Passwort nicht an mehreren Stellen. Sollte es bei einem Anbieter bekannt werden, werden Angreifer es automatisch auch an anderen Stellen ausprobieren.
• Bestätigung per Push-Benachrichtigung: Bestätigen Sie niemals eine Anmeldung, die Sie nicht selbst initiiert haben, auch wenn die Anfragen häufig hintereinander eingehen.

Prozesse im Unternehmen

Die größten Schäden werden durch Finanzbetrug verursacht; darauf kann man sich am besten durch organisatorische Vorschriften vorbereiten.

• Das Vier-Augen-Prinzip: Jede größere Überweisung oder jede Änderung der Bankkontonummer eines Partners muss stets von zwei Personen genehmigt werden.
• Rückruf unter einer bekannten Nummer: Überprüfen Sie Änderungen der Bankkontonummer oder dringende Überweisungsaufträge stets unter einer Ihnen bereits bekannten Telefonnummer und nicht unter der in der E-Mail angegebenen Nummer.
• Es gibt keine „geheimen, dringenden“ Ausnahmen: Betrüger bitten oft darum, niemandem davon zu erzählen, da es sich um eine vertrauliche Angelegenheit handele. Es sei klargestellt, dass auch in solchen Fällen die üblichen Überprüfungen durchgeführt werden.
• Einfache Meldung: Es sollte klar sein, an wen man sich wenden muss, wenn jemand eine verdächtige E-Mail erhalten oder auf einen Link geklickt hat. Wer sich umgehend meldet, sollte nicht bestraft werden: Eine frühzeitige Meldung hat den Schaden erheblich verringert.
• Regelmäßige Schulungen: kurz, mit praktischen Beispielen, mehrmals im Jahr. Die simulierten Phishing-E-Mails zeigen deutlich, wo das Team derzeit steht.
• Updates und Backups: Das Betriebssystem, der Browser und die Programme sollten stets auf dem neuesten Stand sein, und es sollte ein vom Rechner getrenntes Backup vorhanden sein, da eine Phishing-E-Mail häufig mit einem Erpressungsvirus endet.

Der Schutz von Domains und Marken

Angreifer nutzen häufig Ihr Unternehmen als Köder: Sie schreiben Ihren Kunden von einer Adresse aus, die Ihrer Domain ähnelt. Dies können Sie erschweren:

• Stellen Sie DMARC auf die Stufe „reject“ ein, damit Ihre genaue Domain nicht gefälscht werden kann,
• Sichern Sie sich die häufigsten Tippfehler und Domainendungen (wir haben darüber in unserem Leitfaden zur Domainauswahl geschrieben),
• Weisen Sie auf Ihrer Website und in Ihren E-Mails deutlich darauf hin, dass Sie niemals Passwörter oder Kreditkartendaten per E-Mail anfordern,
• Aktivieren Sie die Zwei-Faktor-Authentifizierung auch für die Konten, die Sie zur Verwaltung Ihrer Domains und DNS-Einstellungen nutzen, denn wer die DNS-Einstellungen ändert, kann auch Ihre E-Mails abfangen.

Was ist zu tun, wenn Sie bereits darauf geklickt haben?

1. Geraten Sie nicht in Panik, sondern handeln Sie schnell. Je früher Sie Maßnahmen ergreifen, desto geringer ist der Schaden.
2. Falls Sie ein Passwort eingegeben haben: Ändern Sie es unverzüglich (von einem anderen, vertrauenswürdigen Gerät aus) und überall dort, wo Sie dasselbe Passwort verwendet haben. Melden Sie sich von allen Sitzungen ab und überprüfen Sie, ob der Angreifer in Ihrem Postfach eine Weiterleitungsregel oder eine automatische Antwort eingerichtet hat.
3. Falls Sie Kreditkarten- oder Bankdaten angegeben haben: Rufen Sie unverzüglich die offizielle Telefonnummer Ihrer Bank an, die auf der Rückseite Ihrer Karte oder auf der Website der Bank angegeben ist, und lassen Sie die Karte sperren. Die Banken unterhalten hierfür eine rund um die Uhr erreichbare Hotline.
4. Falls Sie einen Anhang geöffnet oder ein Programm installiert haben: Trennen Sie den Computer vom Netzwerk und wenden Sie sich an den Systemadministrator oder einen Fachmann. Führen Sie einen vollständigen Virenscan durch.
5. Wenn es sich um ein Firmenkonto handelt: Informieren Sie bitte den IT-Beauftragten oder den Leiter Ihres Unternehmens. Sollten personenbezogene Daten in unbefugte Hände gelangt sein, könnte es sich um einen Datenschutzvorfall handeln, der innerhalb von 72 Stunden der NAIH gemeldet werden muss; weitere Informationen hierzu finden Sie in unserem Datenschutzleitfaden.
6. Sollten Sie Geld verloren haben: Erstatten Sie Anzeige bei der Polizei und benachrichtigen Sie die Bank so schnell wie möglich; eine kürzlich getätigte Überweisung lässt sich manchmal noch zurückrufen.

Wie melden Sie einen Phishing-Versuch?

• In Ihrem E-Mail-Programm: Gmail, Outlook und die meisten Webmail-Dienste verfügen über eine Schaltfläche „Phishing melden“; damit trainieren Sie auch die Filter des Anbieters.
• An die betreffende Organisation: Banken und größere Dienstleister geben in der Regel eine Adresse an, an die Sie betrügerische E-Mails, die in deren Namen versendet wurden, weiterleiten können.
• An die nationale Meldestelle: In Deutschland nimmt das Bundesamt für Sicherheit in der Informationstechnik (BSI) Meldungen über Phishing entgegen, in Österreich CERT.at.
• Zum Dienst „Google Safe Browsing“: Wenn Sie gefälschte Websites hier melden, werden die Browser andere Besucher davor warnen.
• An die Polizei: Falls ein Schaden entstanden ist.

Checkliste zum Schutz vor Phishing

An alle

• Bevor ich auf einen Link klicke, überprüfe ich die tatsächliche Adresse; mein Passwort gebe ich nur auf einer Seite ein, die ich selbst geöffnet habe.
• Bei allen wichtigen Konten ist die Zwei-Faktor-Authentifizierung aktiviert, wo möglich mit einem Passkey.
• Ich verwende einen Passwort-Manager und nutze auf jeder Seite ein individuelles Passwort.
• Mein Smartphone, mein Computer, mein Browser und meine Programme sind auf dem neuesten Stand.
• Ich weiß, an wen und wie ich mich wenden muss, wenn ich eine verdächtige Nachricht erhalten oder darauf geklickt habe.

Das Unternehmen

• Für die Domain sind SPF und DKIM für alle versendenden Dienste eingerichtet, DMARC ist mindestens auf der Stufe „quarantine“ konfiguriert, wobei das Ziel „reject“ ist.
• Die E-Mails werden einem Spamfilter und einem Virenscan unterzogen.
• Änderungen der Bankkontonummer sowie größere Überweisungen werden durch Rückrufe und nach dem Vier-Augen-Prinzip überprüft.
• Die Mitarbeiter erhalten mehrmals im Jahr kurze, praxisorientierte Schulungen.
• Die Verwaltungsoberflächen für Domains, DNS, Webhosting und E-Mail sind durch eine zweistufige Authentifizierung geschützt.
• Wir verfügen über ein bewährtes Backup-System, das von den Rechnern und Servern getrennt ist.
• Es gibt einen festgelegten Plan, wie wir nach einem erfolgreichen Phishing-Angriff vorgehen.

Zusammenfassung

Es gibt kein Allheilmittel gegen Phishing, doch mit mehreren Schutzebenen lässt sich das Risiko auf ein Minimum reduzieren. Die technische Ebene (SPF, DKIM, DMARC, Spamfilter) filtert den Großteil der Angriffe heraus, die Zwei-Faktor-Authentifizierung und der Passwortmanager verhindern, dass ein gestohlenes Passwort ausreicht, und gut eingeübte Unternehmensprozesse verhindern Finanzbetrug. Die wichtigste Regel ist jedoch ganz einfach: Wenn eine Nachricht dringlich wirkt und nach einem Passwort, einem Code oder Geld fragt, halten Sie inne und überprüfen Sie die Angelegenheit über einen anderen, vertrauenswürdigen Kanal.

Bei den E-Mail-Hostings und Hosting-Paketen von aWh tragen Spamfilter, verschlüsselte Verbindungen und die Zwei-Faktor-Authentifizierung zu Ihrer Sicherheit bei; bei der Einrichtung von SPF, DKIM und DMARC unterstützen wir Sie gerne. Falls Sie Fragen haben, schreiben Sie uns bitte.

Häufig gestellte Fragen

Woran kann ich sicher erkennen, dass es sich bei einer E-Mail um Phishing handelt?

Sicherlich nicht – daher ist es am besten, wenn Sie nicht den in der E-Mail enthaltenen Link oder die dort angegebene Telefonnummer verwenden. Öffnen Sie selbst die Website oder die App des Anbieters oder rufen Sie dessen offizielle Telefonnummer an und überprüfen Sie dort, ob tatsächlich etwas zu erledigen ist. Verdächtige Anzeichen sind Dränglichkeit, unerwartete Aufforderungen, abweichende Absender- oder Linkadressen, Nachrichten, in denen nach Passwörtern, Codes oder Kartendaten gefragt wird, sowie geänderte Bankkontonummern.

Was ist der Unterschied zwischen Spam und Phishing?

Spam ist unerwünschte Werbung oder Massen-E-Mails, die zwar lästig sind, aber in der Regel nicht darauf abzielen, Sie zu täuschen. Phishing-E-Mails basieren hingegen auf Täuschung: Sie geben sich als vertrauenswürdiger Absender aus, um Daten oder Geld zu ergaunern.

Reicht ein gutes Antivirenprogramm aus?

Nein. Das Antivirenprogramm schützt vor schädlichen Anhängen, kann jedoch nichts gegen ein Passwort ausrichten, das auf einer gefälschten Anmeldeseite eingegeben wird. Zwei-Faktor-Authentifizierung, Passwortmanager, die Authentifizierung der Domain (SPF, DKIM, DMARC) sowie aufmerksame Nutzer sorgen gemeinsam für einen guten Schutz.

Wenn das Schloss-Symbol auf der Seite angezeigt wird, ist die Seite dann sicher?

Das Schloss-Symbol bedeutet lediglich, dass die Verbindung verschlüsselt ist, nicht jedoch, dass die Seite echt ist. Die meisten Phishing-Seiten arbeiten heutzutage mit einem gültigen SSL-Zertifikat. Überprüfen Sie stets den Domainnamen.

Ich nutze einen kostenlosen E-Mail-Dienst. Können dort auch SPF und DKIM eingerichtet werden?

Die Authentifizierung der Domain einer kostenlosen E-Mail-Adresse (z. B. @gmail.com) erfolgt durch den Anbieter; Sie müssen sich darum nicht kümmern, können jedoch keine eigene Domain dafür verwenden. Wenn Sie mit Ihrer eigenen Domain E-Mails versenden, müssen Sie SPF, DKIM und DMARC in den DNS-Einstellungen selbst konfigurieren, oder Ihr Hosting-Anbieter unterstützt Sie dabei.

Wie kann ich mich vor CEO-Betrug schützen?

Gemäß den Unternehmensrichtlinien müssen größere Überweisungen und Änderungen der Bankkontonummern von zwei Personen genehmigt werden, und jede derartige Anfrage muss über eine zuvor bekannte Telefonnummer bestätigt werden – selbst wenn die Anfrage vom Geschäftsführer stammt und als „dringend und vertraulich“ gekennzeichnet ist.

Was soll ich tun, wenn ich auf einen Link geklickt habe, aber keine Angaben gemacht habe?

Schließen Sie die Seite, laden Sie nichts herunter und öffnen Sie nichts. In einem modernen, aktualisierten Browser verursacht ein einzelner Klick an sich selten Schaden, führen Sie jedoch einen Virenscan durch, und wenn es sich um einen Firmencomputer handelt, informieren Sie bitte den IT-Beauftragten. Falls der Link einen Download ausgelöst hat, öffnen Sie die Datei nicht.

Gibt es einen 100-prozentigen Schutz?

Nein. Das Ziel besteht darin, das Risiko durch mehrere, sich gegenseitig ergänzende Schutzebenen zu verringern und einen Plan für den Fall bereitzuhalten, dass dennoch ein Problem auftritt. Wer einen Angriff schnell erkennt und meldet, erleidet auch einen geringeren Schaden.

• Phishing
• Cybersicherheit
• E-Mail-Zustellung
• Authentifizierung
• Anleitungen